Tóm tắt
ISO 42001 mất bao lâu: readiness phụ thuộc danh mục hệ thống AI và việc đã có ISO 27001 hay chưa; audit Stage 1, Stage 2 do certification body lên lịch.
ISO 42001 mất bao lâu phụ thuộc vào hai phần: thời gian readiness của team bạn để xây AI Management System (AIMS), và audit chứng nhận Stage 1 + Stage 2 do certification body thực hiện. Yếu tố lớn nhất là danh mục hệ thống AI đã có hay chưa, và công ty đã vận hành một hệ thống quản lý ISO như ISO 27001 hay chưa.
ISO 42001 mất bao lâu, và thời gian nằm ở đâu?
ISO/IEC 42001:2023 là tiêu chuẩn về hệ thống quản lý AI do ISO và IEC ban hành tháng 12/2023. Nó dùng cùng cấu trúc với ISO 27001, nên quy trình chứng nhận giống nhau: readiness, internal audit và management review, Stage 1, khắc phục, Stage 2, rồi quyết định cấp chứng nhận. Certification body đánh giá AIMS theo ISO/IEC 17021-1 và ISO/IEC 42006:2025, tiêu chuẩn bổ sung yêu cầu năng lực cho đơn vị audit AIMS, ban hành tháng 7/2025. Không có thời gian chuẩn cho mọi công ty; ước tính hữu ích bắt đầu từ số hệ thống AI trong phạm vi.
| Giai đoạn | Ai quyết định thời gian | Phụ thuộc vào |
|---|---|---|
| Danh mục hệ thống AI và xác định phạm vi AIMS | Team của bạn | Số hệ thống AI, AI tự phát triển hay dùng API bên thứ ba, tài liệu sẵn có |
| AI policy, risk assessment, AI impact assessment, Statement of Applicability | Team của bạn | Mức rủi ro của từng hệ thống, sự tham gia của engineering, product và legal |
| Vận hành control và thu thập bằng chứng | Team của bạn | Control Annex A đã có hay phải tạo mới |
| Internal audit và management review | Team của bạn | Bắt buộc trước audit chứng nhận |
| Stage 1, khắc phục, Stage 2 | Certification body | Lịch auditor có năng lực AI, số phát hiện ở Stage 1 |
Đã có ISO 27001 thì ISO 42001 nhanh hơn bao nhiêu?
Đã có ISO 27001 giúp rút ngắn phần hệ thống quản lý: bạn đã có quy trình kiểm soát tài liệu, internal audit, management review, quản lý nhà cung cấp và incident. Phần không dùng lại được là nội dung riêng cho AI: danh mục hệ thống AI, AI impact assessment, và 38 control trong Annex A của ISO 42001 (nhóm A.2 đến A.10). Statement of Applicability vẫn bắt buộc theo clause 6.1.3. Cách tích hợp hai hệ thống có trong bài tích hợp ISO 27001 và ISO 42001; chi tiết từng nhóm control có ở ISO 42001 Annex A.
Những việc nào thường làm chậm ISO 42001?
Việc chậm nhất thường là danh mục hệ thống AI. Nhiều công ty dùng AI trong sản phẩm hoặc nội bộ mà chưa ghi lại mục đích sử dụng, dữ liệu đầu vào, nhóm người bị ảnh hưởng và giới hạn đã biết. Khi bắt đầu kê khai, danh sách thường dài hơn dự kiến.
- Kê khai hệ thống AI: liệt kê mọi model tự phát triển, API bên thứ ba (OpenAI, Anthropic, Gemini) và tính năng AI trong công cụ đang dùng. Xem danh mục hệ thống AI và risk register.
- AI impact assessment: đánh giá tác động lên cá nhân và xã hội, không chỉ rủi ro kỹ thuật.
- Thay đổi model: retrain hay đổi model cần quy trình change management như deploy phần mềm.
- Nhà cung cấp AI: dùng model của bên thứ ba vẫn cần đánh giá nhà cung cấp và điều khoản hợp đồng phù hợp.
- Lịch certification body: ISO 42001 còn mới, số auditor có năng lực AI còn ít; nên liên hệ sớm và kiểm tra phạm vi công nhận.
ISO 42001 có giúp tuân thủ EU AI Act không?
ISO 42001 không tự động chứng minh tuân thủ EU AI Act. Đạo luật này phân loại hệ thống AI theo mức rủi ro và đặt nghĩa vụ riêng cho từng nhóm, với các mốc áp dụng từ 2025 đến 2028 (Digital Omnibus về AI đã lùi nghĩa vụ cho hệ thống high-risk Annex III sang 2/12/2027 và Annex I sang 2/8/2028). Một AIMS theo ISO 42001 giúp có sẵn quy trình quản trị, tài liệu và bằng chứng mà nhiều nghĩa vụ của EU AI Act cần đến, nhưng phải đối chiếu từng nghĩa vụ riêng. Phân tích cho công ty Việt Nam có ở bài ISO 42001 và EU AI Act; các hạng mục chi phí đi kèm từng giai đoạn có ở trang chi phí ISO 42001.
Sau khi có chứng nhận ISO 42001 thì sao?
Chứng nhận ISO 42001 theo cùng mô hình với ISO 27001: chu kỳ 3 năm, surveillance audit ít nhất mỗi năm một lần trong năm 1 và năm 2, recertification audit trước khi hết chu kỳ. Danh mục AI và risk assessment phải được cập nhật khi thêm hệ thống mới hoặc thay đổi model, vì auditor sẽ kiểm tra AIMS còn vận hành thật hay không.
pTrackly giúp gì và không làm gì?
pTrackly có framework ISO 42001 với policy template được điều chỉnh theo công ty, evidence task lặp lại theo tần suất và nhắc việc trước hạn, risk register chấm điểm likelihood × impact, và hướng dẫn kết nối các nền tảng AI như Google Vertex AI, Azure OpenAI, AWS Bedrock, Hugging Face và MLflow. Control dùng chung với ISO 27001 nên không phải làm lại phần chung. pTrackly không cấp chứng nhận; danh mục AI, đánh giá tác động và quyết định rủi ro vẫn do team của bạn thực hiện và phê duyệt. Xem nền tảng ISO 42001 của pTrackly.
Câu hỏi thường gặp
ISO 42001 có bắt buộc không?
Không. ISO 42001 là tiêu chuẩn tự nguyện. Doanh nghiệp làm vì khách hàng enterprise yêu cầu bằng chứng quản trị AI hoặc để chuẩn bị cho các nghĩa vụ như EU AI Act.
Không có ISO 27001 có làm ISO 42001 được không?
Được. ISO 42001 không yêu cầu ISO 27001. Không có ISO 27001 thì phải xây thêm phần hệ thống quản lý, nên readiness thường dài hơn.
ISO 42001 có bao nhiêu control?
Annex A của ISO/IEC 42001:2023 có 38 control trong 9 nhóm, từ A.2 đến A.10. Tổ chức chọn control áp dụng và giải thích loại trừ trong Statement of Applicability.
Certification body nào chứng nhận ISO 42001?
Chọn đơn vị được tổ chức công nhận (accreditation body) công nhận cho ISO/IEC 42001 và có auditor đáp ứng ISO/IEC 42006. Kiểm tra danh sách của accreditation body tại thị trường mục tiêu trước khi ký hợp đồng.
